Blackboard有一个强大的安全程序，不仅可以防止安全问题的出现，而且可以根除它们。Blackboard在代码级(静态分析)和应用级(动态分析)执行持续的内部安全测试，以确保它满足Blackboard和我们客户的期望。此外，为了定期更新我们的应用程序，Blackboard从第三方安全供应商获得了安全渗透测试。任何发现的问题都将很快安排维修。

重要的是要认识到Blackboard的安全程序是一种日益成熟的实践。我们不断改进运营，以推动Blackboard产品的安全特性和健壮性。

构建时考虑到安全性

Blackboard致力于为我们的客户提供安全的应用程序。Blackboard根据一套安全工程指导方针开发我们的产品，这些指导方针来自许多组织，比如开放Web应用程序安全项目(OWASP)，包括针对OWASP十大漏洞的具体对策。Blackboard将这些安全实践整合到软件开发生命周期(SDLC)的所有阶段。

Blackboard使用了几种方法来保护我们的应用程序，包括通过威胁建模和分析进行“自顶向下”的安全评估，以及通过静态分析、动态分析和手动渗透测试进行“自底向上”的代码级威胁检测。

Blackboard遵循许多组织的最佳实践指导，以帮助加强我们产品和程序的安全性。这里注意到几个组织:

  • 国家标准与技术研究所(NIST)
  • 欧洲网络和信息安全局
  • SANS研究所
  • 开放网页应用程式保安计划(OWASP)
  • 云安全联盟(CSA)

威胁建模

随着新特性的开发，安全团队会评估需求和系统设计，通过执行来帮助降低风险威胁建模．威胁建模是一个结构化的过程，在此过程中，与所审查的特性相关的安全威胁被识别出来，以便识别和应用适当的安全对策。

安全编码和OWASP十大漏洞

黑板产品是根据OWASP衍生的一套开发指南开发的，包括具体的对策OWASP十大漏洞．

A1:注入(SQL/DOM/LDAP注入) 我们的编码标准是使用绑定变量，并避免将文字转录到SQL语句中。LDAP功能仅限于身份验证。
A2:认证和会话管理中断 Blackboard产品仅在TLS下运行，因此所有cookie都是加密的。
A3:跨站点脚本编制(XSS) 通过使用共享库(例如ESAPI和发展的标准。所有最终用户提交的文本输入预计将通过消毒方法传递;任何其他类型的输入(日期、选择/选项值)都希望从类型化的域对象生成，而不是直接从用户输入转录。
A4:不安全的直接对象引用 所有应用程序对象都是通过“id”来引用的，这些id通常映射到主键。但是，所有对象都映射到一个“上下文”，所有安全检查都是针对一个“上下文”执行的。例如，一个请求可能引用一个“消息id”，这是一个关于某门课程的讨论板帖子。Blackboard标准是对附加到用户角色的特权执行授权检查。
如果不能正确地执行该标准，那么补救很简单，因为系统中所有受保护的数据实体都映射到安全上下文中(课程或域)。
A5:安全错误配置 Blackboard遵循一种默认安全策略，在需要特殊的系统管理员考虑时使用版本说明和文档。Blackboard鼓励客户遵循它的Secure Configuration最佳实践指南，如果该指南可用并且与特定的Blackboard产品相关。

安全审计
安全事件以安全日志的形式记录。

信息泄露和错误处理
标准错误处理应用于所有页面(通过标准页面模板和标记库)，导致所有错误的标准输出，尤其是无法识别的错误。标准输出可能包括堆栈跟踪(轻微的信息泄漏)，但请求失败时正在处理的任何数据都不包含，只有具有管理员级别访问权限的人才可见。没有特权的用户(如学生)无法看到详细的堆栈跟踪。
A6:敏感数据暴露 Blackboard的标准是使用SHA-160对用户密码进行哈希和加盐。

黑板产品支持运行下TLS；然而，当他们的产品是自托管时，正确配置TLS是部署人员的责任。
A7:缺少功能级访问控制 这在两个层次上进行管理——要求业务逻辑强制授权检查，并确保QA测试用例覆盖不同屏幕的授权需求。
A8:跨站请求伪造(CSRF) 我们的安全架构如下OWASP对于每个请求的nonce值和POST-only语义的建议。AJAX请求使用每个会话的nonce值。
A9:使用已知漏洞的组件 通过对我们的基础架构和第三方软件包进行定期的漏洞扫描，以识别具有已知漏洞的组件，并制定路线图以升级那些具有可用补丁的组件，可以缓解这种情况。
A10:未验证的重定向和转发 黑板安全编码标准要求重定向和转发，以验证它们是本地地址。定期对该漏洞进行测试。

以前的漏洞类别在OWASP前十

恶意文件执行 由非特权终端用户上传的文件永远不会被用作可执行文件。但是，特权用户(例如，系统管理员)可以上传被称为构建块的可执行包，这些包扩展了系统的功能。假设系统管理员了解风险，并在安装任何第三方构建块时遵循可靠的供应商审查和更改管理实践。

任何关于Blackboard未来的期望、计划和前景的陈述都代表了公司当前的观点。由于各种重要因素的影响，实际结果可能有很大的差异。公司预计后续事件和发展将导致公司的观点发生变化。然而，虽然公司可能会选择在未来的某个时候更新这些声明，但公司明确否认有这样做的任何义务。

漏洞管理承诺和披露策略

Blackboard的漏洞管理程序由下面这个面向公众的漏洞管理承诺和披露策略管理。没有一个软件供应商是完美的——一旦在发布的产品中发现了安全漏洞，Blackboard的安全团队就会随时响应。

为了获得登录帮助，您需要联系您所在机构的IT帮助台。Blackboard无法访问您机构的账户信息、网站或内容。如果你不知道如何联系帮助台，试着在网上搜索你的机构名称+帮助台，或检查你的登录页面上的支持链接或联系信息。

Blackboard致力于快速、仔细地解决安全漏洞。此类决议可能导致我们的客户发布安全咨询和/或任何必要的产品更新。为了保护我们的客户和他们的数据，我们要求漏洞负责任地和保密地报告给我们，以便我们进行调查和回应。

Blackboard的产品很复杂。它们运行在不同的硬件和软件配置上，并连接到许多第三方应用程序。所有的软件修改——大的或小的——都需要彻底的分析，以及跨多个产品线和版本的开发和实现。软件还必须经过本地化、可访问性，以及适合其范围、复杂性和严重性的测试。考虑到我们的产品对客户的关键重要性，Blackboard必须确保它们不仅在我们的测试设施中正确运行，而且在客户环境中也正确运行。因此，Blackboard不能按照设定的时间表提供产品更新，但我们致力于加快工作速度。

恶意方经常通过反向工程发布的安全警告和产品更新来利用软件漏洞。对于客户来说，及时更新软件并使用我们的严重性评级系统作为更好地安排升级的指南是很重要的。

测试安全漏洞

您应该针对我们产品的非生产实例进行所有漏洞测试，以最大限度地降低对数据和服务的风险。

如何报告漏洞

秘密地分享潜在漏洞的细节填写漏洞提交表单．

提供潜在漏洞的详细信息，以便Blackboard安全团队可以快速验证和重现该问题。如果没有上述信息，可能很难(如果不是不可能的话)解决潜在的漏洞。如果没有进一步说明，列出大量潜在漏洞而没有详细说明的报告将不会被处理。细节应该包括:

  • 类型的脆弱性;
  • 该等资料是否已公布或与其他人士分享;
  • 受影响的产品和版本;
  • 受影响的配置;而且
  • 逐步说明或概念验证代码来重现问题。

黑板上的安全承诺

所有遵循这一政策的漏洞记者，Blackboard将尝试做以下事情:

  • 确认收到你的报告;
  • 及时调查，确认可能存在的潜在漏洞;
  • 提供解决漏洞的计划和时间框架(如适用);而且
  • 当漏洞被解决时通知漏洞报告者。